Unicode Injection

Support HackTricks

Introduction

рдЗрд╕ рдкрд░ рдирд┐рд░реНрднрд░ рдХрд░рддреЗ рд╣реБрдП рдХрд┐ рдмреИрдХ-рдПрдВрдб/рдлреНрд░рдВрдЯ-рдПрдВрдб рдЕрдЬреАрдм рдпреВрдирд┐рдХреЛрдб рдХреИрд░реЗрдХреНрдЯрд░ рдкреНрд░рд╛рдкреНрдд рдХрд░рдиреЗ рдкрд░ рдХреИрд╕реЗ рд╡реНрдпрд╡рд╣рд╛рд░ рдХрд░рддрд╛ рд╣реИ, рдПрдХ рд╣рдорд▓рд╛рд╡рд░ рд╕реБрд░рдХреНрд╖рд╛рдУрдВ рдХреЛ рдмрд╛рдпрдкрд╛рд╕ рдХрд░рдиреЗ рдФрд░ рдордирдорд╛рдиреЗ рдХреИрд░реЗрдХреНрдЯрд░ рдХреЛ рдЗрдВрдЬреЗрдХреНрдЯ рдХрд░рдиреЗ рдореЗрдВ рд╕рдХреНрд╖рдо рд╣реЛ рд╕рдХрддрд╛ рд╣реИ, рдЬрд┐рдиреНрд╣реЗрдВ рдЗрдВрдЬреЗрдХреНрд╢рди рдХрдордЬреЛрд░рд┐рдпреЛрдВ рдЬреИрд╕реЗ XSS рдпрд╛ SQLi рдХрд╛ рджреБрд░реБрдкрдпреЛрдЧ рдХрд░рдиреЗ рдХреЗ рд▓рд┐рдП рдЙрдкрдпреЛрдЧ рдХрд┐рдпрд╛ рдЬрд╛ рд╕рдХрддрд╛ рд╣реИред

Unicode Normalization

рдпреВрдирд┐рдХреЛрдб рд╕рд╛рдорд╛рдиреНрдпреАрдХрд░рдг рддрдм рд╣реЛрддрд╛ рд╣реИ рдЬрдм рдпреВрдирд┐рдХреЛрдб рдХреИрд░реЗрдХреНрдЯрд░ рдХреЛ ASCII рдХреИрд░реЗрдХреНрдЯрд░ рдореЗрдВ рд╕рд╛рдорд╛рдиреНрдпреАрдХреГрдд рдХрд┐рдпрд╛ рдЬрд╛рддрд╛ рд╣реИред

рдЗрд╕ рдкреНрд░рдХрд╛рд░ рдХреА рдХрдордЬреЛрд░реА рдХрд╛ рдПрдХ рд╕рд╛рдорд╛рдиреНрдп рдкрд░рд┐рджреГрд╢реНрдп рддрдм рд╣реЛрддрд╛ рд╣реИ рдЬрдм рд╕рд┐рд╕реНрдЯрдо рдЙрдкрдпреЛрдЧрдХрд░реНрддрд╛ рдХреЗ рдЗрдирдкреБрдЯ рдХреЛ рдХрд┐рд╕реА рддрд░рд╣ рд╕реЗ рд╕рдВрд╢реЛрдзрд┐рдд рдХрд░рддрд╛ рд╣реИ рдЬрд╛рдВрдЪ рдХрд░рдиреЗ рдХреЗ рдмрд╛рджред рдЙрджрд╛рд╣рд░рдг рдХреЗ рд▓рд┐рдП, рдХреБрдЫ рднрд╛рд╖рд╛рдУрдВ рдореЗрдВ рдЗрдирдкреБрдЯ рдХреЛ рдЕрдкрд░рдХреЗрд╕ рдпрд╛ рд▓реЛрдЕрд░рдХреЗрд╕ рдмрдирд╛рдиреЗ рдХреЗ рд▓рд┐рдП рдПрдХ рд╕рд╛рдзрд╛рд░рдг рдХреЙрд▓ рдЗрдирдкреБрдЯ рдХреЛ рд╕рд╛рдорд╛рдиреНрдпреАрдХреГрдд рдХрд░ рд╕рдХрддрд╛ рд╣реИ рдФрд░ рдпреВрдирд┐рдХреЛрдб ASCII рдореЗрдВ рдкрд░рд┐рд╡рд░реНрддрд┐рдд рд╣реЛ рдЬрд╛рдПрдЧрд╛ рдЬрд┐рд╕рд╕реЗ рдирдП рдХреИрд░реЗрдХреНрдЯрд░ рдЙрддреНрдкрдиреНрди рд╣реЛрдВрдЧреЗред рдЕрдзрд┐рдХ рдЬрд╛рдирдХрд╛рд░реА рдХреЗ рд▓рд┐рдП рджреЗрдЦреЗрдВ:

\u to %

рдпреВрдирд┐рдХреЛрдб рдХреИрд░реЗрдХреНрдЯрд░ рдЖрдорддреМрд░ рдкрд░ \u рдЙрдкрд╕рд░реНрдЧ рдХреЗ рд╕рд╛рде рдкреНрд░рджрд░реНрд╢рд┐рдд рд╣реЛрддреЗ рд╣реИрдВред рдЙрджрд╛рд╣рд░рдг рдХреЗ рд▓рд┐рдП, рдХреИрд░реЗрдХреНрдЯрд░ у▒Л рд╣реИ \u3c4b(рдпрд╣рд╛рдБ рдЬрд╛рдВрдЪреЗрдВ). рдпрджрд┐ рдПрдХ рдмреИрдХрдПрдВрдб \u рдЙрдкрд╕рд░реНрдЧ рдХреЛ % рдореЗрдВ рдкрд░рд┐рд╡рд░реНрддрд┐рдд рдХрд░рддрд╛ рд╣реИ, рддреЛ рдкрд░рд┐рдгрд╛рдореА рд╕реНрдЯреНрд░рд┐рдВрдЧ %3c4b рд╣реЛрдЧреА, рдЬрд┐рд╕реЗ URL рдбрд┐рдХреЛрдб рдХрд┐рдпрд╛ рдЧрдпрд╛ рд╣реИ: <4bред рдФрд░, рдЬреИрд╕рд╛ рдХрд┐ рдЖрдк рджреЗрдЦ рд╕рдХрддреЗ рд╣реИрдВ, рдПрдХ < рдХреИрд░реЗрдХреНрдЯрд░ рдЗрдВрдЬреЗрдХреНрдЯ рдХрд┐рдпрд╛ рдЧрдпрд╛ рд╣реИред рдпрджрд┐ рдмреИрдХрдПрдВрдб рдХрдордЬреЛрд░ рд╣реИ рддреЛ рдЖрдк рдЗрд╕ рддрдХрдиреАрдХ рдХрд╛ рдЙрдкрдпреЛрдЧ рдХрд┐рд╕реА рднреА рдкреНрд░рдХрд╛рд░ рдХреЗ рдХреИрд░реЗрдХреНрдЯрд░ рдХреЛ рдЗрдВрдЬреЗрдХреНрдЯ рдХрд░рдиреЗ рдХреЗ рд▓рд┐рдП рдХрд░ рд╕рдХрддреЗ рд╣реИрдВред рдЖрдкрдХреЛ рдЖрд╡рд╢реНрдпрдХ рдХреИрд░реЗрдХреНрдЯрд░ рдЦреЛрдЬрдиреЗ рдХреЗ рд▓рд┐рдП https://unicode-explorer.com/ рджреЗрдЦреЗрдВред

рдпрд╣ рдХрдордЬреЛрд░реА рд╡рд╛рд╕реНрддрд╡ рдореЗрдВ рдПрдХ рд╢реЛрдзрдХрд░реНрддрд╛ рджреНрд╡рд╛рд░рд╛ рдкрд╛рдИ рдЧрдИ рдПрдХ рдХрдордЬреЛрд░реА рд╕реЗ рдЖрддреА рд╣реИ, рдЕрдзрд┐рдХ рдЧрд╣рди рд╡реНрдпрд╛рдЦреНрдпрд╛ рдХреЗ рд▓рд┐рдП рджреЗрдЦреЗрдВ https://www.youtube.com/watch?v=aUsAHb0E7Cg

Emoji Injection

рдмреИрдХ-рдПрдВрдб рдХреБрдЫ рдЕрдЬреАрдм рддрд░реАрдХреЗ рд╕реЗ рд╡реНрдпрд╡рд╣рд╛рд░ рдХрд░рддреЗ рд╣реИрдВ рдЬрдм рд╡реЗ рдЗрдореЛрдЬреА рдкреНрд░рд╛рдкреНрдд рдХрд░рддреЗ рд╣реИрдВред рдпрд╣реА рдЗрд╕ рд▓реЗрдЦ рдореЗрдВ рд╣реБрдЖ рдерд╛ рдЬрд╣рд╛рдВ рд╢реЛрдзрдХрд░реНрддрд╛ рдиреЗ рдПрдХ рдкреЗрд▓реЛрдб рдХреЗ рд╕рд╛рде XSS рдкреНрд░рд╛рдкреНрдд рдХрд░рдиреЗ рдореЗрдВ рд╕рдлрд▓рддрд╛ рдкрд╛рдИ: ЁЯТЛimg src=x onerror=alert(document.domain)//ЁЯТЫ

рдЗрд╕ рдорд╛рдорд▓реЗ рдореЗрдВ, рддреНрд░реБрдЯрд┐ рдпрд╣ рдереА рдХрд┐ рд╕рд░реНрд╡рд░ рдиреЗ рджреБрд░реНрднрд╛рд╡рдирд╛рдкреВрд░реНрдг рдХреИрд░реЗрдХреНрдЯрд░ рдХреЛ рд╣рдЯрд╛рдиреЗ рдХреЗ рдмрд╛рдж Windows-1252 рд╕реЗ UTF-8 рдореЗрдВ UTF-8 рд╕реНрдЯреНрд░рд┐рдВрдЧ рдХреЛ рдкрд░рд┐рд╡рд░реНрддрд┐рдд рдХрд┐рдпрд╛ (рдмреБрдирд┐рдпрд╛рджреА рд░реВрдк рд╕реЗ рдЗрдирдкреБрдЯ рдПрдиреНрдХреЛрдбрд┐рдВрдЧ рдФрд░ рдПрдиреНрдХреЛрдбрд┐рдВрдЧ рд░реВрдкрд╛рдВрддрд░рдг рдЕрд╕рдВрдЧрдд рдереЗ)ред рдлрд┐рд░ рдпрд╣ рдПрдХ рдЙрдЪрд┐рдд < рдирд╣реАрдВ рджреЗрддрд╛ рд╣реИ, рдХреЗрд╡рд▓ рдПрдХ рдЕрдЬреАрдм рдпреВрдирд┐рдХреЛрдб: тА╣ ``рддреЛ рдЙрдиреНрд╣реЛрдВрдиреЗ рдЗрд╕ рдЖрдЙрдЯрдкреБрдЯ рдХреЛ рд▓рд┐рдпрд╛ рдФрд░ рдЕрдм UTF-8 рд╕реЗ ASCII рдореЗрдВ рдлрд┐рд░ рд╕реЗ рдкрд░рд┐рд╡рд░реНрддрд┐рдд рдХрд┐рдпрд╛ред рдЗрд╕рдиреЗ тА╣ рдХреЛ < рдореЗрдВ рд╕рд╛рдорд╛рдиреНрдпреАрдХреГрдд рдХрд┐рдпрд╛, рдЗрд╕ рдкреНрд░рдХрд╛рд░ рдпрд╣ рдкреНрд░рдгрд╛рд▓реА рдкрд░ рдПрдХреНрд╕рдкреНрд▓реЙрдЗрдЯ рдХреИрд╕реЗ рдХрд╛рдо рдХрд░ рд╕рдХрддрд╛ рд╣реИред рдпрд╣ рдХреНрдпрд╛ рд╣реБрдЖ:

<?php

$str = isset($_GET["str"]) ? htmlspecialchars($_GET["str"]) : "";

$str = iconv("Windows-1252", "UTF-8", $str);
$str = iconv("UTF-8", "ASCII//TRANSLIT", $str);

echo "String: " . $str;

Emoji рд╕реВрдЪрд┐рдпрд╛рдБ:

HackTricks рдХрд╛ рд╕рдорд░реНрдерди рдХрд░реЗрдВ

Last updated